Volatility取证分析工具
声明:本人坚决反对利用文章内容进行恶意攻击行为,一切错误行为必将受到惩罚,绿色网络需要靠我们共同维护,推荐大家在了解技术原理的前提下,更好的维护个人信息安全、企业安全、国家安全。
1.Volatility功能介绍
Volatility是一款开源的内存取证分析工具,支持Windows,Linux,MaC,Android等多类型操作系统系统的内存取证方式。该工具是由python开发的,目前支持python2、python3环境。接下来小编将带领大家学习Volatility工具的安装及使用。
工具下载地址:https://github.com/volatilityfoundation
2.Volatility安装方式
目前作者已公布了两个版本的Volatility,Volatility2是基于py2环境,Volatility3是基于py3环境,接下来小编将带领大家分别对这两个环境进行安装。
(1)Volatility3环境的安装
首先请确保系统中已安装python3环境,安装pycrypto库函数
进入到Volatility目录,执行如下指令,即可将Volatility成功安装
>>> sudo python3 setup.py install
此时,就成功安装了Volatility3工具,可以执行如下指令查看是否安装是成功
>>> sudo python3 vol.py -h
(2)Volatility2环境的安装
首先请确保系统中已安装python2环境,安装pycrypto库函数
首先通过网站下载pycrypto安装包:https://ftp.dlitz.net/pub/dlitz/crypto/pycrypto/
注意:如果遇到报错可尝试执行如下命令,解决问题:
>>> sudo apt-get install python-dev
>>> sudo pip install setuptools
进入到Volatility目录,执行如下指令,即可将Volatility成功安装
>>> sudo python2 setup.py install
此时,就成功安装了Volatility2工具,可以执行如下指令查看是否安装是成功
>>> sudo python2 vol.py -h
3.Volatility使用方式
Volatility2的使用方法
(1) 获取系统基本信息
>>>python2 vol.py -f ../Target.vmem imageinfo
(2) 列出进程信息
>>> python2 vol.py -f ../Target.vmem --profile=Win7SP1x64 pslist
(3) 提取某进程文件内容
>>> python2 vol.py -f ../Target.vmem --profile=Win7SP1x64 memdump -p 516 -D /
(4) 查看文件目录
>>> python2 vol.py -f ../Target.vmem --profile=Win7SP1x64 filescan
(5) 提取某文件内容
>>>python2 vol.py -f ../Target.vmem --profile=Win7SP1x64 dumpfiles -Q 0x000000007fe72430 --dump-dir=./
(6) 调用mimikatz抓取系统口令
>>> python2 vol.py -f ../Target.vmem --profile=Win7SP1x64 mimikatz
Volatility3的使用方法
(1) 获取系统基本信息
>>>sudo python3 vol.py -f ../Target.vmem windows.info
(2) 列出进程信息
(3) 提取某进程文件内容
>>>sudo python3 vol.py -f /opt/forensic-analysis/Target.vmem windows.pslist --pid 516 --dump
(4) 查看文件目录
(5) 提取某文件内容(此功能存在问题,待进一步解决!)
相关文章
- 和付费网盘说再见,跟着本文自己起个网盘(Java 开源项目)
- 有了这个开源 Java 项目,开发出炫酷的小游戏好像不难?
- 超级好用的 Java 数据可视化库:Tablesaw
- 采用开源Zabbix+500块硬件平替5万块动环检测系统,实现UPS、温湿度、烟雾等数据采集、存储、告警、大屏展示
- 驱动开发:WinDBG 常用调试命令总结
- 中小企业快速合规,快速部署开源堡垒机TELEPORT
- 驱动开发:监控进程与线程对象操作
- 客快物流大数据项目(九十六):ClickHouse的VersionedCollapsingMergeTree深入了解
- 软件测试|selenium屏幕操作事件TouchActions
- FPS游戏:视场角矩阵的特点
- Path Finder for Mac(强大的文件管理工具)v2149中文激活版
- 零售行业R公司对接亚马逊Amazon Device EDI项目案例
- FPS 游戏:快速寻找基址的方法
- 7min到40s:SpringBoot启动优化实践
- 客快物流大数据项目(九十九):Clickhouse中update/delete的使用
- 手把手教你使用CNN进行交通标志识别(已开源)
- 软件测试|selenium三种等待方式
- FPS游戏:实现人物定点瞬移
- 人力资源行业数据特点解析
- PE格式:实现PE文件特征码识别